Détails sur la source de la menace

Pour accéder à cette page, cliquez sur le lien Serveur externe à partir de la page Sources de menaces .

Utilisez la page Détails de la source de menace pour afficher les informations d’analyse et un résumé de la menace pour la source de menace. Les informations suivantes s’affichent pour chaque source de menace.

• Résumé des menaces (emplacement, catégorie, nom d’hôte et heure de vision)

• Nombre total de visites

• Protocoles et ports (TCP et UDP)

Pour les sources de menace de type C&C, vous pouvez ajouter la source de menace à la liste d’autorisation ou la signaler comme faux positif à Juniper Networks à partir de la page Détails de la source de menace.

Pour la source de menace de type DNS, vous ne pouvez signaler la source de la menace comme faux positif qu’à Juniper Networks.

Tableau 1 : Options sur la page Détails de la source de menace (en haut à droite de la page)

Bouton/Lien	Objet
Sélectionnez l’option > Ajouter à la liste blanche	Choisissez cette option pour ajouter la source de menace à la liste d’autorisation. Avertissement : L’ajout d’une source de menace à la liste d’autorisation déclenche automatiquement un processus de correction pour mettre à jour tous les hôtes affectés (dans cette organisation) qui ont contacté la source de menace nouvellement autorisée. Tous les événements C&C liés à ce serveur sur liste d’autorisation seront supprimés des événements des hôtes concernés, et un nouveau calcul du niveau de menace de l’hôte aura lieu. Si le score de l’hôte change au cours de ce nouveau calcul, un nouvel événement hôte s’affiche pour expliquer pourquoi il a été renoté. (Par exemple, « Le niveau de menace de l’hôte a été mis à jour après que la source de menace 1.2.3.4 a été effacée. ») De plus, la source de la menace n’apparaîtra plus dans la liste des sources de menace car elle a été effacée. Remarque : Vous pouvez également autoriser les sources de menaces à partir de la page Configuration > listes d’autorisation . Voir Créer des listes d’autorisation et de blocage pour plus de détails.
Sélectionnez l’option > signaler comme faux positif	Sélectionnez cette option pour lancer un nouvel écran qui vous permet d’envoyer un rapport à Juniper Networks, informant Juniper d’un faux positif ou d’un faux négatif. Juniper va enquêter sur le rapport, mais cela ne change pas le verdict.

Sous Intervalle de temps se trouve un graphique affichant la fréquence des événements au fil du temps. Un événement se produit lorsqu’un hôte communique avec l’adresse IP source de la menace (envoi ou réception de données). Vous pouvez filtrer ces informations en cliquant sur les liens de période : 1 jour, 1 semaine, 1 mois, Personnalisé (sélectionnez votre propre période).

Hosts est une liste d’hôtes qui ont contacté le serveur. Les informations fournies dans cette section sont les suivantes :

Tableau 2 : Données sur l’hôte contactée par la source de menace

Champ	Définition
Hôte client	Nom de l’hôte en contact avec la source de la menace.
Adresse IP du client	Adresse IP de l’hôte en contact avec la source de la menace. (Cliquez sur la page Détails de l’hôte pour cette adresse IP hôte.)
Niveau de menace à l’instant t	Niveau de menace de la source de menace, tel que déterminé par une analyse des actions et des comportements au moment de l’événement.
Statut	Action effectuée par l’équipement sur la communication (si elle était autorisée, dans un gouffre ou bloquée).
Protocole	Protocole (TCP ou UDP) utilisé pour tenter de communiquer.
Source Port	Port utilisé par la source de la menace pour tenter de communiquer.
Nom de l’appareil	Nom de l’appareil en contact avec la source de la menace.
Date/heure de vue	La date et l’heure de la dernière source de menace.
Nom d’utilisateur	Nom de l’utilisateur hôte en contact avec la source de la menace.

Les domaines sont une liste de domaines que l’adresse IP a précédemment utilisés au moment d’événements suspects. Si une adresse IP source de menace change de nom DNS/domaine pour échapper à la détection, une liste des différents noms DNS utilisés sera répertoriée avec les dates auxquelles ces noms ont été vus.

Tableau 3 : Données sur les domaines associés à la source de la menace

Champ	Définition
C & C Host	Liste des domaines dont les adresses IP de destination dans les événements de source de menace résolus
Vu pour la dernière fois	La date et l’heure du dernier accès au serveur source de la menace

Les signatures sont une liste des indicateurs de menace associés à l’adresse IP. La source de menace bloquée par le « Global Threat Feed » de Juniper affichera les domaines ou les signatures. (La colonne « Bloqué via », sous la liste des sources de menaces, indique si une adresse IP de source de menace a été trouvée dans le « Global Threat Feed » de Juniper ou dans un autre flux personnalisé configuré.)

Tableau 4 : Données de signature de la source de la menace

Champ	Définition
Nom	Le nom ou le type du logiciel malveillant détecté.
Catégorie	Description du programme malveillant et de la manière dont il a pu compromettre une ou plusieurs ressources.
Date de l’événement	La date à laquelle le malware a été vu.

Les certificats sont une liste de certificats associés à la source de la menace.

Tableau 5 : données des certificats de source de menace

Champ	Définition
Hachage de certificat	Affiche le hachage du certificat de la source de la menace.
Date/heure de vue	Date et heure de la dernière mise à jour du fichier de hachage du certificat.